在內網滲透中，經常出現的概念有工作組和域，所以有必要對相關概念了解清楚

工作組

?工作組是局域網中的一個概念，它是最常見的資源管理模式，簡單是因為默認情況下計算機都是采用工作組方式進行資源管理的。將不同的電腦按功能分別列入不同的組中，以方便管理。默認情況下所有計算機都處在名為WORKGROUP的工作組中，工作組資源管理模式適合于網絡中計算機不多，對管理要求不嚴格的情況。它的建立步驟簡單，使用起來也很好上手。大部分中小公司都采取工作組的方式對資源進行權限分配和目錄共享。相同組中的不同用戶通過對方主機的用戶名和密碼可以查看對方共享的文件夾，默認共享的是Users目錄。不同組的不同用戶通過對方主機的用戶名和密碼也可以查看對方共享的文件夾。所以工作組并不存在真正的集中管理作用.工作組里的所有計算機都是對等的 , 也就是沒有服務器和客戶機之分的。

加入工作組

?右擊桌面上的“計算機”，在彈出的菜單出選擇“屬性”，點擊“更改設置”，“更改”，在“計算機名”一欄中鍵入你想好的名稱，在“工作組”一欄中鍵入你想加入的工作組名稱。如果你輸入的工作組名稱網絡中沒有，那么相當于新建了一個工作組，當然暫時只有你的電腦在組內。單擊“確定”按鈕后，Windows提示需要重新啟動，重新啟動之后，再進入“網絡”就可以看到你所加入的工作組成員了。

退出工作組

?只要將工作組名稱改動即可。不過在網上別人照樣可以訪問你的共享資源。你也可以隨便加入同一網絡上的任何其它工作組?！肮ぷ鹘M”就像一個可以自由進入和退出的“社團”，方便同一組的計算機互相訪問。

訪問工作組

?文件–>網絡，就可以查看到我們工作組中的其他計算機了，當你要訪問某臺計算機時，點擊它，然后輸入該主機的用戶名和密碼即可看到該主機共享的文件夾。

工作組的優缺點

?優點：在一個網絡內，可能有上百臺電腦，如果這些電腦不進行分組，都列在“網上鄰居”中，電腦無規則的排列為我們訪問資源帶來不方便。為了解決這一問題，Windows98操作系統之后就引用了“工作組”這個概念，將不同的電腦按功能分別列入不同的組中，如軟件部的電腦都列入“軟件部”工作組中，網絡部的電腦都列入“網絡部”工作組中。你要訪問某個部門的資源，就在“網上鄰居”里找到那個部門的工作組名，雙擊就可以看到那個部門的電腦了。計算機通過工作組進行分類，使得我們訪問資源更加具有層次化。工作組情況下資源可以相當隨機和靈活的分布，更方便資源共享，管理員只需要實施相當低級的維護。

?缺點：缺乏集中管理與控制的機制，沒有集中的統一帳戶管理，沒有對資源實施更加高效率的集中管理，沒有實施工作站的有效配置和安全性嚴密控制。只適合小規模用戶的使用。
基于以上缺點，當計算機數量比較多，大型企業中網絡規模大，需要統一的管理和集中的身份驗證，并且能夠給用戶提供方便的搜索和使用網絡資源的方式，工作組的組織形式就不合適了，于是域就出現了。

---

域

?只有windows才有域控，linux沒有域控

?用來描述一種架構，和“工作組”相對應，由工作組升級而來的高級架構。將網絡中多臺計算機邏輯上組織到一起，進行集中管理，這種區別于工作組的邏輯環境叫做域。域是組織與存儲
資源的核心管理單元域(Domain)是一個有安全邊界的計算機集合可以簡單的把域理解成升級版的“工作組”，相比工作組而言，它有一個更加嚴格的安全管理控制機制，如果你想訪問域內的資源，就必須擁有一個合法的身份登陸到該域中,而你對該域內的資源擁有什么樣的權限,還需要取決于你在該域中的用戶身份。

域登錄

?域成員計算機在登錄的時候可以選擇登錄到域中或此計算機。

??登陸到域中的時候，身份驗證是采用Kerberos協議在域控制器上進行的。

??登陸到此計算機時，是通過SAM來進行NTLM驗證的（即windows本地認證）。實質上就是Windows把用戶輸入的密碼憑證和sam文件里的加密hash比對的過程。
?默認情況下，域用戶可以登錄到域中所有的工作站，不包括域控制器，管理員也可以指定具體的計算機，域用戶信息保存在活動目錄中。

工作組和域的區別

工作組實際上是個對等網絡，而域實質上是B/S架構，集中式管理。

域的重要組成

域控DC

?在域架構中域控是用來管理所有客戶端的服務器，它負責每一臺聯入的電腦和用戶的驗證工作，域內電腦如果想互相訪問首先都得經過它的審核。域控是域架構的核心，每個域控制器上都包含了AD活動目錄數據庫。一個域中可能應該要有至少兩個域控。一個作為DC，一個是備份DC。如果沒有第二個備份DC，那么一旦DC癱瘓了，則域內的其他用戶就不能登陸該域了，因為活動目錄的數據庫（包括用戶的帳號信息）存儲在DC中的。而有一臺備份域控制器（BDC），則至少該域還能正常使用，期間把癱瘓的DC恢復了就行了。當域中的一臺計算機安裝了AD后，它就成了域控DC。

活動目錄AD

?活動目錄AD是域環境中提供目錄服務的組件。在活動目錄中，所有的網絡對象信息以一種結構化的數據存儲方式來保存，使得管理員和用戶能夠輕松地查找和使用這些信息?；顒幽夸浺赃@種結構化的數據存儲方式作為基礎，對目錄信息進行合乎邏輯的分層組織?；顒幽夸洿鎯χ嘘P網絡對象（如用戶、組、計算機、共享資源、打印機和聯系人等）的信息。目錄服務是幫助用戶快速準確從目錄中查找到他所需要的信息的服務。安裝有AD活動目錄的服務器就是域控DC。

?如果將企業的內網看成是一本字典，那么內網里的資源就是字典的內容， 活動目錄就相當于字典的索引。即活動目錄存儲的是網絡中所有資源的快捷方式，用戶通過尋找快捷方式而定位資源。在活動目錄中記錄的信息，被分為兩大部分，一部分保存在活動目錄數據庫文件NTDS.dit 中，另一部分保存在被復制的文件系統上。

NTDS.dit

?域用戶帳戶以域數據庫的形式保存在活動目錄中，NTDS.dit是活動目錄的數據庫文件，該文件記錄的信息有以下三張表：

Schema 表 ：這個表中包含了所有可在活動目錄創建的對象信息以及他們之間的相互關系。包括各種類型對象的可選及不可選的各種屬性。這個表是活動目錄數據庫中最小的一個表，但是也是最基礎的一個表。

Link 表 ：Link表包含所有屬性的關聯，包括活動目錄中所有對象的屬性的值。一個用戶對象的所有屬性的類型，包括每個屬性的值及用戶所屬于的組等信息都屬于這個表。這個表要大于Schema 表，但與Data 表相比要小。

Data 表：活動目錄中用戶，組，應用程序特殊數據和其他的數據全部保存在Data表中。這是活動目錄中存儲信息最多的一個表，大量的活動目錄的資料實際上還是存儲在這個表中。

Ntdsutil.exe

?ntdsutil.exe是域控制器自帶的域數據庫管理工具，從windows Server 2008 開始就默認自帶了。因此我們可以通過ntdsutil.exe提取出域中所有的域用戶信息。

活動目錄的主要功能

?帳號集中管理：所有帳號均存在服務器上，方便對帳號的重命名/重置密碼。

?軟件集中管理：統一推送軟件，統一安裝網絡打印機等。利用軟件發布策略分發軟件,可以讓用戶自由選擇安裝軟件。

?環境集中管理：利用AD可以統一客戶端桌面，IE，TCP/IP等設置。

增強安全性：統一部署殺毒軟件和掃毒任務，集中化管理用戶的計算機權限、統一制訂用戶密碼策略等，可監控網絡，資料統一管理。

?更可靠：更少的宕機時間。如：利用AD控制用戶訪問權限，利用群集、負載均衡等技術對文件服務器進行容災設定，更可靠，宕機時間更少。

?活動目錄為Microsoft統一管理的基礎平臺，其它 ISA、Exchange、SMS 等服務都依賴于這個基礎平臺。

AD子目錄

?Builtin容器：Builtin容器是Active
?Driectory默認創建的第一個容器，主要用于保存域中本地安全組。

?Computers容器：Computers容器是Active Driectory默認創建的第2個容器，用于存放Windows Server 2008域內所有成員計算機的計算機賬號。

?Domain Controllers容器：Domain Controllers是一個特殊的容器，主要用于保存當前域控制器下創建的所有子域和輔助域。

?Users容器：Users容器主要用于保存安裝Active Driectory時系統自動創建的用戶和登錄到當前域控制器的所有用戶賬戶。

DNS服務器

?域控服務器要求DNS服務器按名稱查找計算機、成員服務器和網絡服務。
?域名解析：DNS服務器通過其A記錄將域名解析成IP地址
?定位活動目錄服務：客戶機通過DNS服務器上的 SRV 服務記錄定位提供某一個服務的計算機
一般情況下，我們在內網滲透時就通過尋找DNS服務器來定位域控制器，因為通常DNS服務器和域控制器會處在同一臺機器上。
?SRV服務記錄是DNS服務器的數據庫中支持的一種資源記錄的類型，它記錄了哪臺計算機提供了哪個服務這么一個簡單的信息。

SRV服務記錄

?一般是為活動目錄 AD 設置的應用。DNS可以獨立于活動目錄，但是活動目錄必須有DNS的幫助才能工作。為了活動目錄能夠正常的工作，DNS服務器必須支持服務定位（SRV）資源記錄，資源記錄把服務名字映射為提供服務的服務器名字。域主機和域控制器使用SRV資源記錄決定域控制器的IP地址和提供服務的服務器IP地址>

域的架構

單域

?在一般的具有固定地理位置的小公司里，建立一個域就可以滿足所需。

域樹

?域樹指若干個域通過建立信任關系組成的集合。一個域管理員只能管理本域的內部，不能訪問或者管理其他的域，二個域之間相互訪問則需要建立 信任關系 (Trust Relation)。信任關系是連接在域與域之間的橋梁。父域與子域之間自動建立起了雙向信任關系，域樹內的父域與子域之間不但可以按需要相互進行管理，還可以跨網分配文件和打印機等設備資源，使不同的域之間實現網絡資源的共享與管理，以及相互通信和數據傳輸。同一個域樹中，父域和子域會自動創建雙向信任關系，并且信任關系可傳遞。所以也就是如下：abc.com 自動與 asia.abc.com 和 europe.abc.com 建立起了雙向信任關系，asia.abc.com 和 cn.asia.abc.com以及 europe.abc.com 與 fr.asia.abc.com 自動建立起了雙向信任關系。由于信任關系可以傳遞，所以cn.asia.abc.com和abc.com以及fr.asia.abc.com和abc.com都自動建立起了雙向信任關系。但是 asia.abc.com 和 europe.abc.com 之間并沒有建立起信任關系。所以也就是 asia.abc.com 和 europe.abc.com 之間不能進行數據共享等操作。他們之間要想進行數據共享等操作，需要手動為他們之間建立信任關系。
在一個域樹中，父域可以包含很多子域，子域是相對父域來說的，指域名中的每一個段。子域只能使用父域作為域名的后綴，也就是說在一個域樹中，域的名字是連續的。

域樹的優點

1.如果把不同地理位置的分公司放在同一個域內，那么他們之間信息交互（包括同步，復制等）費的時間會比較長，而且占用的帶寬也比較大。（因為在同一個域內，信息交互的條目是很多的，而且不壓縮；而在域和域之間，信息交互的條目相對較少，而且壓縮。

2.子公司可以通過自己的域來管理自己的資源。

3.出于安全策略的考慮，因為每個域都有自己獨有的安全策略。比如一個公司的財務部門希望能使用特定的安全策略（包括帳號密碼策略等），那么可以將財務部門做成一個子域來單獨管理
在一個域樹中，父域可以包含很多子域，子域是相對父域來說的，指域名中的每一個段。子域只能使用父域作為域名的后綴，也就是說在一個域樹中，域的名字是連續的。

域林

?由一個或多個沒有形成連續名稱空間的域樹組成，林中每個域樹都有唯一的名稱空間，之間不連續。域林指若干個域樹通過建立信任關系組成的集合?？梢酝ㄟ^域樹之間建立的信任關系來管理和使用整個域林中的資源，從而又保持了原有域自身原有的特性。同一個林中，林根域與其他樹根域自動建立雙向信任關系，信任關系可傳遞。

域的信任關系

?域之間的信任關系，相當于是不同域之間溝通的橋梁。域信任分為 單向信任 和 雙向信任。單向信任只能是受信任域訪問信任域，而信任域不能訪問受信任域。雙向信任是兩個域可以互相訪問。

??父子信任：父域與子域之間自動建立起了雙向信任關系，并且信任關系可以傳遞。

??樹信任：同一個林中，林根域與其他樹根域自動建立雙向信任關系。信任關系可傳遞。

??快捷方式信任：為了加速認證流程而產生的信任關系。需要管理員手工建立，信任關系可向下傳遞。

??林信任：在不更改AD結構的情況下，讓不同林之間可以相互訪問資源。信任關系可向下傳遞。

??外部信任/ 跨林快捷方式信任：類似于同林內的快捷方式信任. 單向, 信任關系不可傳遞：
領域信任：為了讓AD跟非windows系統的kerberos建立關系而存在的信任。

域的原理

?其實可以把域和工作組聯系起來理解，在工作組上你一切的設置比如在本機上進行各種策略，用戶登錄都是登錄在本機的，密碼是放在本機的數據庫來驗證的。而如果你的計算機加入域的話，各種策略是域控制器統一設定，用戶名和密碼也是放到域控制器去驗證，也就是說你的賬號密碼(域用戶)可以在同一個域的任何一臺計算機登錄。

?如果說工作組是“免費的旅店”，那么域（Domain）就是“星級的賓館”；工作組可以隨便出出進進，而域則需要嚴格控制?！坝颉钡恼嬲x指的是服務器控制網絡上的計算機能否加入計算機組合。一提到組合，勢必需要嚴格的控制。所以實行嚴格的管理對網絡安全是非常必要的。在對等網模式下，任何一臺電腦只要接入網絡，其他機器就都可以訪問共享資源，如共享文件夾等。盡管對等網絡上的共享文件可以加訪問密碼，但是非常容易被破解。

?不過在“域”模式下，至少有一臺服務器負責每一臺聯入網絡的電腦和用戶的驗證工作，相當于一個單位的門衛一樣，稱為域控制器（Domain Controller，簡寫為DC）。

域控制器中包含了這個域內的賬戶、密碼、域內的計算機等信息構成的數據庫(AD)。當電腦聯入網絡時，域控制器首先要鑒別這臺電腦是否屬于這個域，使用的登錄賬號是否存在、密碼是否正確。如果以上信息有一樣不正確，那么域控制器就會拒絕這個用戶從這臺電腦登錄。不能登錄，用戶就不能訪問服務器上有權限保護的資源，他只能以對等網用戶的方式訪問Windows共享出來的資源，這樣就在一定程度上保護了網絡上的資源。

?要把一臺電腦加入域，僅僅使它和服務器在網上鄰居中能夠相互“看”到是遠遠不夠的，必須要由網絡管理員進行相應的設置，把這臺電腦加入到域中。這樣才能實現文件的共享，集中統一，便于管理。

總結

以上是生活随笔為你收集整理的工作组和域的概念及辨析的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。